怎么判断一个SSL证书是不是正规CA签发的？
2026-10-20
看两点即可：证书链能完整回溯到浏览器信任的根证书、OCSP/CRL 吊销状态可查、签发 。两项全过才算正规；缺任一项，浏览器显示锁形图标也不可信。
什么是“正规 CA 签发的证书”？
正规 CA 签发的 SSL 证书，是指由通过 WebTrust 审计、根证书被主流浏览器与操作系统预置信任。判断主要同时看这两层：
技术层：根证书被预置信任。Chrome、Edge、Firefox、Safari 各维护独立信任库，同一张证书在不同浏览器表现不一致，通常是根证书未被预置。
运营层：具备验证与吊销能力。CA 须按 CA/B 论坛《基线要求》验证域名所有权或单位身份，并提供 OCSP 或 CRL 通道；无吊销能力，私钥泄露后无法止损。
数据来源：CA/Browser Forum《Baseline Requirements》现行版本；CCADB 公开审计报告库。
怎么一步步验证一张证书？
不需要专业工具，浏览器加一条命令，就能完成九成判断。
1. 看签发者：点地址栏锁形图标，查 Issuer 与有效期，可筛掉大部分自签名证书。
2. 验证书链：执行 openssl s_client -connect www.example.com:443 -showcerts，输出 Verify return code: 0 (ok) 即链完整。
3. 查吊销：同一命令会打印 OCSP 地址，用 openssl ocsp 查询，返回 good 才算正常。
| 维度 | 判断方法 | 正规特征 | 异常信号 |
|---|---|---|---|
| 签发者与根证书 | 浏览器 → 证书 → 签发者 | 根证书在信任库中，链长 2–3 级 | 显示“未知”或需手动导入 |
| 证书链完整性 | openssl s_client -showcerts | Verify return code: 0 (ok) | 报 unable to get local issuer |
| 吊销状态 | OCSP / CRL 查询 | 返回 good，地址可访问 | 返回 revoked 或查询超时 |
| 证书类型 | 查看 O / OU 字段 | OV、EV 的 O 字段为单位全称 | 宣称 EV 但 O 字段为空 |
| 有效期 | 查看 notBefore / notAfter | 符合现行 200 天上限 | 远超上限或已过期仍在用 |
表 1 SSL 证书正规性核验对照表
常见误区有哪些？
误区：有锁形图标就是正规证书 → 正确做法：锁只证明握手成功，须点开核对证书链。
误区：浏览器能打开就没问题 → 正确做法：中间证书缺失时浏览器会“容错”，但小程序与 API 调用会直接失败。
误区：写着大品牌名就可信 → 正确做法：名称可被仿冒，应以根证书指纹和 OCSP 实际结果为准。
误区：签发后不用再管 → 正确做法：有效期已由 398 天缩至 200 天，2027 年起降至 100 天，须建立到期监控。
常见问题（FAQ）
Q1：提示“证书无效”，就一定是假证书吗？
不一定。多数告警源于证书过期、域名不匹配或中间证书缺失；只有“签发者不受信任”才需核查 CA 资质。
Q2：内网自建 CA 签发的证书算正规吗？
不算。自建 CA 只能靠手动导入根证书建立信任，无公共可信性，不适用于对外网站，可用于内部系统。
Q3：几百张证书，怎么批量判断是否正规？
按“统一采集—集中判定—自动续期”三步走：由沃通 CertBot在目标服务器完成采集、申请、验证与续期部署，沃通 CAC可视化集中调度多个 CertBot 任务，沃通 CaaS提供生命周期编排、统一 API 与多系统连接，让核查与续期从人工转向自动。
